Wireguard mesh routing preko tri EU data centra: Lekcije iz suverenog umrežavanja bez Tailscalea

Uvod u suvereno umrežavanje bez Tailscalea

U današnjem svijetu cloud infrastrukture, mnogi se oslanjaju na alate poput Tailscalea za jednostavno povezivanje resursa. No, za one koji traže potpunu kontrolu nad svojom mrežom, izgradnja vlastite Wireguard mesh mreže preko više data centara nudi neusporedivu suverenost i fleksibilnost. Ovaj članak opisuje kako smo implementirali full-mesh Wireguard mrežu preko tri EU data centra, koristeći BIRD za dinamičko usmjeravanje i systemd za pouzdanost, bez ikakvih vanjskih servisa.

Zašto Wireguard mesh umjesto Tailscalea?

Tailscale je izvrstan alat za brzo postavljanje VPN mreža, ali dolazi s ovisnošću o njihovim poslužiteljima za koordinaciju i autentifikaciju. Za projekte koji zahtijevaju potpunu kontrolu nad podacima i mrežnom topologijom, Wireguard mesh rješenje s vlastitim routing protokolom pruža veću sigurnost i neovisnost. Naša implementacija koristi BIRD za automatsko otkrivanje ruta i prilagodbu promjenama u mreži, što je ključno za pouzdan rad u više data centara.

Arhitektura full-mesh mreže

Postavili smo tri čvora u različitim EU data centrima (Frankfurt, Amsterdam, Dublin). Svaki čvor ima javnu IP adresu i pokreće Wireguard sučelje. Umjesto klasičnog hub-and-spoke modela, koristimo full-mesh topologiju gdje svaki čvor izravno komunicira sa svakim drugim čvorom. To smanjuje latenciju i eliminira single point of failure. BIRD na svakom čvoru dinamički uči rute prema ostalim čvorovima i internoj mreži, koristeći OSPF protokol.

Implementacija korak po korak

Prvo smo instalirali Wireguard i BIRD na svaki čvor. Konfiguracija Wireguarda uključuje generiranje ključeva i postavljanje peerova za svaki drugi čvor. Na primjer, čvor u Frankfurtu ima peerove za Amsterdam i Dublin. Zatim smo konfigurirali BIRD za OSPF na Wireguard sučeljima. Ključno je omogućiti dynamic routing kako bi se mreža automatski prilagodila ako jedan čvor padne. Systemd servisi osiguravaju da se Wireguard i BIRD automatski pokreću pri bootu i restartiraju u slučaju pada.

Testiranje i optimizacija

Nakon postavljanja, testirali smo povezivost između svih čvorova. Ping latencija je bila ispod 10 ms između Frankfurt i Amsterdam, i oko 20 ms do Dublina. BIRD je uspješno preusmjeravao promet kada smo simulirali pad jednog čvora. Dodali smo i load balancing za promet između data centara koristeći ECMP (Equal-Cost Multi-Path) u BIRD-u. Za dodatnu sigurnost, implementirali smo i firewall pravila koja dopuštaju samo Wireguard promet na javnim sučeljima.

Lekcije iz prakse

Najveći izazov bio je pravilno konfigurirati BIRD za OSPF na više sučelja, posebno s obzirom na MTU postavke. Preporučujemo postavljanje MTU na 1420 bajtova za Wireguard sučelja kako bi se izbjegla fragmentacija. Također, važno je redovito ažurirati ključeve i pratiti logove za potencijalne probleme. Ova arhitektura je pokazala izvrsnu pouzdanost i skalabilnost, idealna za projekte koji zahtijevaju suvereno umrežavanje bez ovisnosti o trećim stranama.

Zaključak

Izgradnja Wireguard mesh mreže preko tri EU data centra bez Tailscalea je izvediva i donosi potpunu kontrolu nad infrastrukturom. Uz BIRD za dinamičko usmjeravanje i systemd za pouzdanost, možete stvoriti robusnu mrežu koja se automatski prilagođava promjenama. Ovo rješenje je posebno korisno za organizacije koje cijene privatnost i neovisnost od vanjskih servisa.